event 우주에서 보기
조직별 취약점 대응 우선순위를 위한 SSVC 제안
2019-12-04 수요일 · 7년 전
소프트웨어공학연구소 연구진이 이해관계자별 취약점 분류 체계 SSVC를 제안한 보고서 발표. 하나의 심각도 점수만으로는 제품 공급자와 시스템 운영자가 지금 어떤 조치를 해야 하는지 충분히 설명하기 어렵다는 문제의식에서 출발. 실제 악용 여부와 기술적 영향, 조직의 업무 및 이용 환경 등을 의사결정나무로 검토하여 대응의 긴급성과 우선순위를 구분하는 접근 제시. 취약점 자체의 특성과 해당 조직에서의 위험을 구별하고, 판단의 이유를 담당자 사이에 설명할 수 있도록 하는 시도. 모든 상황에 완성된 정답을 제공하는 표준이라기보다 현장에서 평가하고 개선할 수 있는 가설적 방법으로 제안되어, 제한된 대응 자원을 어디에 먼저 투입할지에 관한 논의를 확대.
